Governance und Compliance: der Unterschied
| KI-Governance | KI-Compliance | |
|---|---|---|
| Leitfrage | Wie steuern wir KI im Unternehmen? | Halten wir dabei alle Vorgaben ein? |
| Inhalt | Strategie, Rollen, Regeln, Prozesse, Kontrolle | AI Act, DSGVO, Arbeitsrecht, Urheberrecht, Verträge |
| Ergebnis | Klare Entscheidungen und Verantwortlichkeiten | Nachweisbare Rechtskonformität |
Compliance ist damit ein Teil der Governance. Ohne Governance bleibt Compliance Stückwerk, weil niemand für die Umsetzung zuständig ist.
Die sieben Bausteine
- KI-Strategie: Wofür will das Unternehmen KI einsetzen und wofür ausdrücklich nicht?
- Rollen: Gesamtverantwortung, KI-verantwortliche Person, Zuständigkeiten von IT, Datenschutz und Informationssicherheit
- KI-Richtlinie: Freigegebene Tools, Datenklassen, Prüfpflicht, Meldeweg
- Inventar: Liste aller KI-Systeme mit Zweck, Variante, Verantwortlichem und Risikoeinstufung
- Freigabeprozess: Schlanke Prüfung neuer Tools in Risikostufen
- Kompetenz: Schulungen und Dokumentation nach Art. 4 AI Act
- Kontrolle: Regelmäßige Überprüfung von Inventar, Freigaben und Richtlinie, Umgang mit Vorfällen
Das KI-Inventar als Herzstück
Ohne Überblick keine Steuerung. Ein KI-Inventar ist eine einfache Liste, die für jedes KI-System festhält, wofür es genutzt wird und welche Regeln gelten. Eine Tabelle reicht völlig.
| Feld | Beispiel |
|---|---|
| System und Variante | ChatGPT Business |
| Zweck | Texterstellung, Recherche, Zusammenfassungen |
| Nutzergruppe | Vertrieb, Marketing, Kundenservice |
| Erlaubte Datenklassen | Öffentlich, intern, personenbezogen mit Einschränkungen |
| AI-Act-Einstufung | Minimales Risiko |
| Vertrag zur Auftragsverarbeitung | Ja, abgeschlossen am ... |
| Verantwortliche Person | Name |
| Nächste Überprüfung | Datum |
Aufbau in 90 Tagen
| Zeitraum | Schritte |
|---|---|
| Tage 1 bis 30 | Bestandsaufnahme der genutzten KI-Tools, Rollen festlegen, KI-verantwortliche Person benennen |
| Tage 31 bis 60 | KI-Richtlinie und Freigabeprozess erstellen, freigegebenes Basis-Tool bereitstellen, Betriebsrat einbinden |
| Tage 61 bis 90 | Schulungen durchführen und dokumentieren, Inventar vervollständigen, Termin für erste Überprüfung festlegen |
Verbindung zu bestehenden Systemen
Kaum ein Unternehmen fängt bei null an. Das Verzeichnis der Verarbeitungstätigkeiten aus dem Datenschutz, das Informationssicherheits-Managementsystem nach ISO 27001 und bestehende Freigabeprozesse für Software lassen sich erweitern, statt Parallelstrukturen aufzubauen. Wer einen formalen Rahmen sucht, findet ihn in der Norm ISO/IEC 42001.